CN114157461A - 工控协议数据流处理方法、装置、设备及存储介质 - Google Patents

Abstract

本申请公开了一种工控协议数据流处理方法、装置、设备及存储介质，涉及工控网安测试技术领域，用于解决流量静态回放所带来的误差大和漏测的问题，提升工控流量模拟效果，该方法包括：获取工控协议行为请求；其中，所述工控协议行为请求用于指示向目标工控网安设备发送目标工控协议行为对应的模拟数据流；基于所述工控协议行为以及预构建的至少一个工控协议模板库，生成所述工控协议行为对应的工控协议请求数据流；其中，所述工控协议模板库包括至少一种工控协议对应的工控协议行为的工控协议模板；调用数据转发组件，将所述工控协议请求数据流发送给目标工控网安设备。

Description

工控协议数据流处理方法、装置、设备及存储介质

技术领域

本申请涉及计算机技术领域，尤其涉及工控网安测试技术领域，提供一种工控协议数据流处理方法、装置、设备及存储介质。

背景技术

工控网安设备，例如防火墙、审计等设备能够有效的保障工业设备的控制过程中的安全性，因而对于工控网安设备的功能和性能的要求都较高。目前，为了测试工控网安设备的功能情况，往往采用测试计算机与被测设备相连，然后基于捕获好的网络流量进行静态回放，从而去模拟真实工业通信中工业设备通信的情形。

但是因为工控协议带来的变动，会导致抓取的工业流量不准确，使用该方式进行测试时的误差大，漏测等情况时有发生。此外，当需要模拟异常工控流量情况时，由于抓取的异常流量屈指可数，使用该方式无法模拟实际的异常工业流量情况。

因此，如何解决流量静态回放所带来的上述问题是亟待解决的问题。

发明内容

本申请实施例提供一种工控协议数据流处理方法、装置、设备及存储介质，用于解决流量静态回放所带来的误差大和漏测的问题，提升工控流量模拟效果。

一方面，提供一种工控协议数据流处理方法，所述方法包括：

获取工控协议行为请求；其中，所述工控协议行为请求用于指示向目标工控网安设备发送目标工控协议行为对应的模拟数据流；

基于所述工控协议行为以及预构建的至少一个工控协议模板库，生成所述工控协议行为对应的工控协议请求数据流；其中，所述工控协议模板库包括至少一种工控协议对应的工控协议行为的工控协议模板；

调用数据转发组件，将所述工控协议请求数据流发送给目标工控网安设备。

一方面，提供一种工控协议数据流处理装置，所述装置包括：

获取单元，用于获取工控协议行为请求；其中，所述工控协议行为请求用于指示向目标工控网安设备发送目标工控协议行为对应的模拟数据流；

流生成单元，用于基于所述工控协议行为以及预构建的至少一个工控协议模板库，生成所述工控协议行为对应的工控协议请求数据流；其中，所述工控协议模板库包括至少一种工控协议对应的工控协议行为的工控协议模板；

收发单元，用于调用数据转发组件，将所述工控协议请求数据流发送给目标工控网安设备。

可选的，所述装置还包括流解码单元；

所述收发单元，还用于通过所述数据转发组件，接收所述目标工控网安设备输出的工控协议请求数据流；

所述流解码单元，用于对所述工控协议请求数据流进行解码处理，获得解码结果；

所述流生成单元，还用于若所述解码结果指示的目标工控协议行为是所述工控协议模板库中已记录的目标工控协议行为，则获取所述目标工控协议行为对应的执行结果，基于执行结果生成第一工控协议响应数据流；

所述收发单元，还用于调用数据转发组件，将所述第一工控协议响应数据流发送给所述目标工控网安设备。

可选的，

所述流生成单元，还用于若解码得到的行为码标识指示非工控协议行为，则生成指示断开连接的第二工控协议响应数据流；

所述收发单元，还用于调用数据转发组件，将所述第二工控协议响应数据流发送给所述目标工控网安设备。

可选的，所述目标工控协议行为请求携带了所述目标工控协议行为的行为码索引、行为参数值以及数据传输协议参数值；则所述流生成单元，具体用于：

从所述至少一个工控协议模板库中，获取所述目标工控协议行为对应的目标工控协议模板；

调用协议配置层，基于所述行为码索引以及行为参数值，对所述目标工控协议模板进行字段填充，获得工控协议数据流；

调用数据传输协议相关层，基于所述数据传输协议参数值，填充所述工控协议数据流的数据传输协议字段，以获得所述工控协议请求数据流。

可选的，所述流生成单元，具体用于：

确定所述目标工控协议对应的工控协议模板库中，是否存在所述行为码索引对应的目标行为码标识；

若存在，则从所述工控协议模板库中获取所述目标行为码标识；

以所述目标行为码标识填充所述目标工控协议中的相应协议字段，并将所述行为参数值填充至所述目标工控协议中的相应协议字段，获得所述工控协议数据流。

可选的，所述数据传输协议参数值包括目标网络协议IP地址和目标物理MAC地址，则可选的，所述流生成单元，具体用于：

调用传输层，基于所述目标工控协议对应的端口地址填充端口字段，获得填充了端口字段的工控协议数据流；

调用网络层，基于所述目标IP地址，填充IP地址字段，获得填充了IP地址字段的工控协议数据流；

调用物理层，基于所述目标MAC地址，填充MAC地址字段，以获得所述工控协议请求数据流。

可选的，所述装置还包括配置单元，用于：

向所述目标工控网安设备发送配置指令，所述配置指令用于将所述目标工控网安设备的接口模式配置为混杂模式，在所述混杂模式下，所述目标工控网安设备的至少一个接收端口能够接收目的地址为非自身地址的数据流；

则所述收发单元，具体用于：

调用数据平面开发DPDK组件，将所述工控协议请求数据流发送给所述至少一个接收端口。

一方面，提供一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述任一种方法的步骤。

一方面，提供一种计算机存储介质，其上存储有计算机程序指令，该计算机程序指令被处理器执行时实现上述任一种方法的步骤。

一方面，提供一种计算机程序产品或计算机程序，该计算机程序产品或计算机程序包括计算机指令，该计算机指令存储在计算机可读存储介质中。计算机设备的处理器从计算机可读存储介质读取该计算机指令，处理器执行该计算机指令，使得该计算机设备执行上述任一种方法的步骤。

本申请实施例中，预先构建了工控协议模板库，该工控协议模板库包括至少一种工控协议对应的工控协议行为的工控协议模板，这样，在进行工控流量模拟时，则可以基于当前请求的目标工控协议行为结合工控协议模板库，动态的模拟实际环境的工控协议数据流，更好的进行工控网安设备的功能测试。相较于静态回放流量的方式，本申请实施例提供的方式能够更灵活的生成所需求的工控协议数据流，并且，还可以更方便的模拟异常的工控协议数据流，提升测试效率。

附图说明

为了更清楚地说明本申请实施例或相关技术中的技术方案，下面将对实施例或相关技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本申请实施例提供的应用场景示意图；

图2为本申请实施例提供的工控流量模拟系统的架构示意图；

图3为本申请实施例提供的工控流量模拟设备的软件系统示意图；

图4为本申请实施例提供的工控协议数据流处理方法的流程示意图；

图5为本申请实施例提供的工控协议数据流处理过程的整体处理示意图；

图6为本申请实施例提供的模拟流量发送端的发送过程示意图；

图7为本申请实施例提供的以modbus通讯协议为例的工控协议请求数据包的编码流程示意图；

图8为本申请实施例提供的模拟流量接收端的接收和解码过程示意图；

图9为本申请实施例提供的以modbus通讯协议为例的工控协议请求数据包的解码流程示意图；

图10为本申请实施例提供的工控协议数据流处理装置的一种结构示意图；

图11为本申请实施例提供的计算机设备的一种结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚明白，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

工控流量模拟，应用于工控网安设备例如防火墙、审计等设备的性能测试、功能测试中，其中包括协议流量仿真、安全性测试等测试流量的模拟。对于工控网安设备而言，工控流量的模拟决定了测试效果的好坏，因而对于工控网安设备来说尤为重要。

但是目前流量静态回放的方式误差大，漏测等情况时有发生，并且无法模拟异常工控流量情况。而其他的流量模拟方法又无法实现工控协议流量的模拟。

鉴于此，本申请实施例提供了一种工控协议数据流处理方法，在该方法中，预先构建了工控协议模板库，该工控协议模板库包括至少一种工控协议对应的工控协议行为的工控协议模板，这样，在进行工控流量模拟时，则可以基于当前请求的目标工控协议行为结合工控协议模板库，动态的模拟实际环境的工控协议数据流，更好的进行工控网安设备的功能测试。相较于静态回放流量的方式，本申请实施例提供的方式能够更灵活的生成所需求的工控协议数据流，并且，还可以更方便的模拟异常的工控协议数据流，提升测试效率。

其中，在构建工控协议模板库时，基于各种工控协议的特征，构建得到每种工控协议中每个工控协议行为对应的工控协议模板，在后续进行使用时，只需要填充必要的字段即可，更加方便灵活，能够涵盖更多的测试场景。

下面对本申请实施例的技术方案能够适用的应用场景做一些简单介绍，需要说明的是，以下介绍的应用场景仅用于说明本申请实施例而非限定。在具体实施过程中，可以根据实际需要灵活地应用本申请实施例提供的技术方案。

本申请实施例提供的方案可以适用于大多数工控网安设备的测试场景中，例如防火墙、审计等设备的性能测试、功能测试场景等。如图1所示，为本申请实施例提供的一种应用场景示意图，在该场景中，可以包括工控流量模拟设备101和工控网安设备102。

工控流量模拟设备101用于实现工控协议数据流的模拟，工控网安设备102则为待测试的工控网安设备，例如工业安全隔离装置ICS-ISG/ICS-SAS。工控流量模拟设备101可以包括一个或多个处理器1011以及存储器1012等。其中，工控流量模拟设备101的存储器1012中还可以存储本申请实施例提供的工控协议数据流处理方法的程序指令，这些程序指令被处理器1011执行时能够用以实现本申请实施例提供的工控协议数据流处理方法的步骤，以实现工控协议数据流的模拟，以对工控网安设备102进行测试。

工控流量模拟设备101和工控网安设备102之间可以通过一个或者多个网络103进行直接或间接的通信连接。该网络103可以是有线网络，也可以是无线网络，例如无线网络可以是移动蜂窝网络，或者可以是无线保真(Wireless-Fidelity，WIFI)网络，当然还可以是其他可能的网络，本发明实施例对此不做限制。

具体的，工控流量模拟设备101包括至少一个发送端口和至少一个接收端口，工控网安设备102也包括至少一个接收端口和至少一个发送端口。工控流量模拟设备101与工控网安设备102之间可以通过这些端口建立至少两条数据传输通道，如图1所示的工控流量模拟设备101包括eth1和eth2，同样的，工控网安设备102包括eth1＇和eth2＇，其中，eth1和eth1＇组成一条数据传输通道，eth2和eth2＇组成另一条数据传输通道，其中一条数据传输通道可作为工控流量模拟设备101的数据流发送通道，另一条数据传输通道则可以作为工控流量模拟设备101的数据流接收通道。

如图2所示，为本申请实施例提供的一种工控流量模拟系统的架构示意图，图2中具体以工控协议为modbus(一种用于工业现场的总线协议)通讯协议为例，用于模拟modbus工控流量。在该架构中包括modbus工控流量模拟系统和待测试的工控网安设备。

如图2所示，modbus工控流量模拟系统包括用于实现modbus工控流量模拟的各个数据处理层，即图2所示的modbus层、传输(Transmission Control Protocol，TCP)层、网络协议(Internet Protocol，IP)层、物理(Media Access Control，MAC)层以及数据平面开发套件(Data Plane Development Kit，DPDK)层。

modbus层用于实现Modbus协议相关的数据处理，例如协议解析或者协议封装等等。MAC层、IP层以及TCP层为L2-L4层协议栈，属于数据传输协议层，用于实现数据传输相关的数据处理，例如MAC层用于填充源/目标MAC地址，IP层用于填充源/目标IP地址，TCP层用于填充源/目的端口。

DPDK层是一组lib库和工具包的集合，运行在操作系统的用户态空间(UserSpace)，利用自身提供的数据面库进行收发包处理，绕过了Linux内核态协议栈，以提升数据流的处理效率。

在具体应用时，modbus层按照工控协议行为请求填充相应的工控协议模板后，依次通过TCP层、IP层以及MAC层进行处理后，调用DPDK层将数据流通过eth1转发给工控网安设备的eth1＇，工控网安设备进行数据处理(例如路由分析或者安全检测等)后，通过eth2＇将数据流转发出去，数据流通过eth2到达DPDK层，该数据流经MAC层、IP层以及TCP层逐层处理后，经modbus层进行协议分析，以获知需要执行的工控协议行为，基于该工控协议行为进行模拟执行，仅执行结果进行数据包组装，按照上述的数据流发送过程发送给工控网安设备的eth1＇。

在此过程中，则可以记录工控网安设备的相关测试参数，例如收包数量以及转发数量等，或者，还可以基于工控网安设备的日志进行分析，从而对工控网安设备的功能以及性能等进行测试评估。

如图3所示，为本申请实施例提供的工控流量模拟设备101的软件系统示意图。在该软件系统中，包括Linux Native模块和多个数据流生成模块。

其中，Linux Native模块用于管理工控流量模拟设备101以及配置数据流模拟所需的配置信息。Linux Native模块具体可以包括web服务模块(例如nginx)、操作系统(Operating System，OS)模块和网卡，OS用于管理各个数据流生成模块来完成工控协议数据流的模拟过程，web服务模块用于接收在web页面上进行配置操作而发送的配置信息，例如配置工控协议模板，网卡用于进行通信。

每个数据流生成模块为一个数据流生产组，如图3所示的group1和group2，每个数据流生成模块还可以包括多个流生成器(flow producer)，用于执行实际的数据流生成过程。

以group1为例，每个数据流生成模块包括至少两个单元(core)flow producer，如group1包括core1和core2，每个core包括flow producer、DPDK以及网卡，网卡与被测的工控网安设备相连接。其中，flow producer包括接收端口rx和发送端口tx，用于收发工控协议数据流。在这些core中，其中一个core为主core，其flow producer包括管理(mgt)端口，用于与OS相连，并接收来自OS的管理数据流，以管理工控协议数据流的模拟过程。

当然，本申请实施例提供的方法并不限用于图1所示的应用场景或者图2和图3的架构中，还可以用于其他可能的应用场景，本申请实施例并不进行限制。对于图1所示的应用场景的各个设备所能实现的功能将在后续的方法实施例中一并进行描述，在此先不过多赘述。

本申请各实施例中提供的方法流程，可以通过图1中的工控流量模拟设备101来执行。参见图4所示，为本申请实施例提供的工控协议数据流处理方法的流程示意图。

步骤401：获取工控协议行为请求；其中，工控协议行为请求用于指示向目标工控网安设备发送目标工控协议行为对应的模拟数据流。

步骤402：基于工控协议行为以及预构建的至少一个工控协议模板库，生成工控协议行为对应的工控协议请求数据流；其中，工控协议模板库包括至少一种工控协议对应的工控协议行为的工控协议模板。

步骤403：调用数据转发组件，将工控协议请求数据流发送给目标工控网安设备。

本申请实施例中，预先构建了工控协议模板库，该工控协议模板库包括至少一种工控协议对应的工控协议行为的工控协议模板，这样，在进行工控流量模拟时，则可以基于当前请求的目标工控协议行为结合工控协议模板库，动态的模拟实际环境的工控协议数据流，更好的进行工控网安设备的功能测试。相较于静态回放流量的方式，本申请实施例提供的方式能够更灵活的生成所需求的工控协议数据流，并且，还可以更方便的模拟异常的工控协议数据流，提升了测试效率。

参见图5所示，为本申请实施例的工控协议数据流处理过程的整体处理示意图。

S1：构建工控协议模板库。

为了能够后续方便的进行工控协议数据流的模拟，需要预先构建工控协议模板库，下面则首先对该工控协议模板库的构建过程进行介绍。

具体的，可以根据各种工控协议，编写其协议名称和对应协议的特征，将其协议的协议特征进行记录，以构建协议模板库。以工控协议为modbus通讯协议为例，其构建的modbus工控协议模板库可以如下所示：

上述示出的为modbus工控协议的功能码标识模板，其中包括了各个功能码的索引(index)、标识值(value)以及具体的功能解释。其中，功能码表示一种工控协议行为，即利用该工控协议可以控制工业设备所执行的行为。以“<options index＝"1"value＝"1"desc_cn＝"01读线圈"/>”为例，则表示该工控协议行为的功能码索引为1，功能码标识为1，用于实现控制工业设备读线圈行为。

需要说明的是，步骤S1的过程可以不是重复执行的，即预先构建工控协议模板库之后，则后续的发送过程可以持续利用该模板库进行流量的发送。当然，在后续过程中，也可以对该模板库进行更新。

S2：配置协议行为，即根据实际的工控协议行为请求配置协议字段，组装工控协议数据包。

S3：数据传输协议层处理，即根据实际的工控协议行为请求填充数据传输相关字段，封装工控协议请求数据包。

S4：流量收发，即发送工控协议请求数据包以及接收工控网安设备处理之后返回的工控协议请求数据包。

在实际应用中，工控协议数据流的模拟涉及到流量发送端的模拟和流量接收端的模拟，下面分别进行介绍。

(一)流量发送端的模拟

参见图6所示，为模拟流量发送端的发送过程示意图。

步骤601：构建工控协议模板库。

可参见上述步骤S1部分的介绍，在此不再进行赘述。

步骤602：根据工控协议行为请求，填充工控协议协议字段，获得工控协议数据流。

本申请实施例中，将工控流量模拟设备与工控网安设备连接后，则可以开始进行测试。在需要对工控网安设备进行测试时，工控网安设备可以向测试人员提供测试页面，测试人员可以在测试页面中输入本轮测试的工控协议参数数据，从而发起测试，以生成工控协议行为请求，或者，测试人员也可以通过远端的web页面中进行本轮测试的工控协议参数的输入，从而向工控流量模拟设备发起工控协议行为请求，该协议行为请求用于指示向目标工控网安设备发送目标工控协议行为对应的模拟数据流。

具体的，该工控协议行为请求可以包括如下信息中的一种或者多种的组合：

(1)目标工控协议行为的行为码索引和行为参数值

目标工控协议行为是本论测试所需要模拟的工控协议行为，行为码索引用于唯一标识一个工控协议行为，即上述提及的功能码索引，通过该行为码索引在工控协议模板库中则可以查询到相应的行为码标识，即上述提及的功能码标识。

行为参数值为执行该目标工控协议行为所需的相关参数，例如读取线圈的行为需要指示具体读取哪些线圈，则行为参数值可以指示待读取线圈的地址。

(2)数据传输协议参数值

数据传输协议参数值为指示数据传输相关的参数，例如协议二元组信息，目的IP地址、目的MAC地址。

(3)数据发送次数

测试人员可以指定本轮的工控协议数据流所需发送数据包的数量。

当然，在实际应用中，还可以包括其他必要的参数，这里不再一一进行示出。

则当接收到工控协议行为请求后，则可以从至少一个工控协议模板库中，获取目标工控协议行为对应的目标工控协议模板，并调用协议配置层，基于行为码索引以及行为参数值，对目标工控协议模板进行工控协议字段填充。

具体的，确定目标工控协议对应的工控协议模板库中，是否存在行为码索引对应的目标行为码标识，若存在，则从工控协议模板库中获取目标行为码标识，并以目标行为码标识填充目标工控协议中的相应协议字段，并将行为参数值填充至目标工控协议中的相应协议字段，获得工控协议数据流。

以modbus通讯协议为例，则协议配置层可以图2所示的modbus层，若工控协议行为请求用于指示模拟读线圈数据流，则工控协议行为请求中携带了读线圈行为的功能码索引，即index＝1，单元标识符、起始地址和线圈数量(或者结束地址)，相应的，接收工控协议行为请求后，则查找工控协议模板库中的Modbus协议，是否能够查找到读线圈行为的功能码索引对应的工控协议模板，若查找不到，则输出提示信息，以提示请核实协议是否配置准确；如果查到有该索引，则在数据包的功能码位置填充Index＝1对应的值value，即1，同时将工控协议行为请求中的地址值、读取线圈数量的值及单元标识符填充到相应位置，其组装完的数据包如下表1所示：

表1

其中，协议字段用于表征所对应的工控协议，单元标识符用于指示所读取的工业设备(这里为模拟的工业设备)，起始地址用于指示所需读取的线圈的起始地址，线圈数量用于表示所需读取的线圈数量。则表1所示的数据包可以表示读服务器单元标识符(0x11)输出线圈，起始地址＝0013H＝19，对应地址20；线圈数001BH＝27，则结束地址＝00020+27-1＝00046，即读服务器输出线圈00020-00046，共27个线圈状态。

上述仅以一个工控协议请求数据包为例，在实际操作时，可以生成相同的多个数据包，或者生成相同行为的不同内容(如读取地址或者数量等不同)的数据包，以形成工控协议数据流。

步骤603：基于数据传输协议参数值，填充工控协议数据流的数据传输协议字段，以获得工控协议请求数据流。

本申请实施例中，在获得工控协议数据流后，则可以利用调用数据传输协议相关层，填充数据传输协议相关字段，以获得工控协议请求数据流。其中，数据传输协议参数值可以包括目标IP地址和目标MAC地址，数据传输协议相关层可以是指L2-L4层，即传输层、网络层和物理层。

具体的，填充数据传输协议字段时，可以逐层进行字段填充，先调用传输层，基于目标工控协议对应的端口地址填充端口字段，获得填充了端口字段的工控协议数据流。再调用网络层，基于目标IP地址，填充IP地址字段，获得填充了IP地址字段的工控协议数据流，最后调用物理层，基于目标MAC地址，填充MAC地址字段，以获得工控协议请求数据流。

以上述modbus通讯协议为例，当如图2所示，modbus层处理完毕后，则传递至传输层，传输层填充目的端口地址(即Modbus填充502端口)，如下表2所示：

表2

其中，序列号、首部长度等字段均为数据传输协议相关字段，“00000000000611010013001B”为上层内容。

接着，网络层即L3层填充源/目的IP地址，物理层即L2层填充源/目的MAC地址。

步骤604：调用数据转发组件，将工控协议请求数据流发送给目标工控网安设备。

具体的，在向工控网安设备发送工控协议请求数据流之前，还需要向目标工控网安设备发送配置指令，配置指令用于将目标工控网安设备的接口模式配置为混杂模式，在混杂模式下，目标工控网安设备的至少一个接收端口能够接收目的地址为非自身地址的数据流。同样的，对于工控流量模拟设备也是如此，预先配置了发送端口(out port)，其属性为混杂模式，进而将封装完成的数据包通过数据转发组件发送出去。

其中，数据转发组件具体可以为DPDK组件，该组件运行在操作系统的用户态空间(User Space)，利用自身提供的数据面库进行收发包处理，绕过了Linux内核态协议栈，以提升数据流的处理效率。

需要说明的是，工控协议请求数据流包括至少一个工控协议请求数据包，可以基于预先设置的次数进行多次发送，多次发送的数据包包含的内容可以不同，也可以相同。

本申请实施例中，参见图7所示，为以modbus通讯协议为例的工控协议请求数据包的编码流程示意图。

步骤701：获取modbus协议行为请求。

步骤702：行为码是否为读取线圈，若是，则跳转至步骤711执行；若不是，则跳转至步骤703执行。

步骤703：行为码是否为读取输入状态，若是，则跳转至步骤711执行；若不是，则跳转至步骤704执行。

步骤704：行为码是否为读取输入寄存器，若是，则跳转至步骤711执行；若不是，则跳转至步骤705执行。

步骤705：行为码是否为写单个线圈，若是，则跳转至步骤711执行；若不是，则跳转至步骤706执行。

步骤706：行为码是否读取异常状态，若是，则跳转至步骤711执行；若不是，则跳转至步骤707执行。

步骤707：行为码是否为写单个保持寄存器，若是，则跳转至步骤711执行；若不是，则跳转至步骤708执行。

步骤708：行为码是否为写多个线圈，若是，则跳转至步骤711执行；若不是，则跳转至步骤709执行。

步骤709：行为码是否为写多个保持寄存器，若是，则跳转至步骤711执行；若不是，则跳转至步骤710执行。

步骤710：行为码是否为其他功能码，若是，则跳转至步骤711执行；若不是，则跳转至步骤701执行。

步骤711：填充目标工控协议行为相应的协议字段。

步骤712：tcp层填充目的端口。

步骤713：获取IP层请求参数。

步骤714：IP层填充源/目的IP地址。

步骤715：MAC层填充源/目的MAC地址。

步骤716：调用DPDK发送数据包(pkt)。

上述过程仅以一个数据包为例，在实际应用中，还可以发送更多的数据包。

(二)流量接收端的模拟

参见图8所示，为模拟流量接收端的接收和解码过程示意图。

步骤801：通过数据转发组件，接收目标工控网安设备输出的工控协议请求数据流。

目标工控网安设备对工控协议请求数据流处理之后，从其输出端口输出处理后的工控协议请求数据流，该数据流同样被工控流量模拟设备的数据转发组件(例如DPDK组件)所接收。

步骤802：数据传输协议层对工控协议请求数据流进行协议解析，获得解析结果。

即L2-L4层协议栈解析收到的数据包，若L4层解析出目的端口是502(即上述modbus层的端口)，则将包送给Modbus层处理。

步骤803：对工控协议请求数据流进行解码处理，获得解码结果。

步骤804：若解码结果指示的目标工控协议行为是工控协议模板库中已记录的目标工控协议行为，则获取目标工控协议行为对应的执行结果，基于执行结果生成第一工控协议响应数据流。

例如，上述读取线圈的示例，则接收到工控协议请求数据流后，可以解码得到该数据包功能码为1，即对应读线圈行为，其起始地址为20，读取设备ID为0x11，读取数量为27。

进而，根据上述解码得到的内容，模拟执行读线圈行为，并基于读取得到的值进行数据包组装，组装时根据工控协议模板库中的相应模板进行，例如可以采用如下表3所示的格式：

表3

其中，线圈状态20-27、线圈状态28-35、线圈状态36-43以及线圈状态44-46对应的值即为读取得到的线圈状态。

步骤805：数据传输协议层对第一工控协议响应数据流进行封装。

步骤806：调用数据转发组件，将封装后的第一工控协议响应数据流发送给目标工控网安设备。

以上述modbus通讯协议为例，如图2所示，modbus层处理完毕后，则传递至传输层，传输层填充目的端口地址(即Modbus填充502端口)，网络层即L3层填充源/目的IP地址，物理层即L2层填充源/目的MAC地址，并配置的out port将封装完成的数据包通过DPDK组件发送出去。

具体的，步骤805和806与图6所示的实施例中步骤603和604的处理过程一致，因而在此不再过多赘述。

本申请实施例中，参见图9所示，为以modbus通讯协议为例的工控协议请求数据包的解码流程示意图。

步骤901：通过DPDK接收pkt。

步骤902：MAC层进行解析。

步骤903：IP层进行解析。

步骤904：TCP层进行解析。

步骤905：modbus层进行解析。

步骤906：行为码是否为读取线圈，若是，则跳转至步骤915执行；若不是，则跳转至步骤907执行。

步骤907：行为码是否为读取输入状态，若是，则跳转至步骤915执行；若不是，则跳转至步骤908执行。

步骤908：行为码是否为读取输入寄存器，若是，则跳转至步骤915执行；若不是，则跳转至步骤909执行。

步骤909：行为码是否为写单个线圈，若是，则跳转至步骤915执行；若不是，则跳转至步骤910执行。

步骤910：行为码是否读取异常状态，若是，则跳转至步骤915执行；若不是，则跳转至步骤911执行。

步骤911：行为码是否为写单个保持寄存器，若是，则跳转至步骤915执行；若不是，则跳转至步骤912执行。

步骤912：行为码是否为写多个线圈，若是，则跳转至步骤915执行；若不是，则跳转至步骤913执行。

步骤913：行为码是否为写多个保持寄存器，若是，则跳转至步骤915执行；若不是，则跳转至步骤914执行。

步骤914：行为码是否为其他功能码，若是，则跳转至步骤915执行；若不是，则跳转至步骤917执行。

步骤915：modbus模拟执行，获取相应执行结果。

步骤916：modbus编码生成第一工控协议响应数据包。

步骤917：响应tcp rst。

步骤918：TCP编码生成第二工控协议响应数据包。

具体的，若解码得到的行为码标识指示非工控协议行为，则生成指示断开连接的第二工控协议响应数据流，即响应tcp rst，并调用数据转发组件，将第二工控协议响应数据流发送给目标工控网安设备。

步骤919：调用DPDK发送第一工控协议响应数据包或者第二工控协议响应数据包。

上述过程仅以一个数据包为例，在实际应用中，还可以接收更多的数据包。

综上所述，本申请实施例中，通过预先构建的工控协议模板库，可以实现动态的配置生成实际环境的工业流量，更好的验证工控网安设备例如防火墙、审计等设备的功能测试，例如实现协议流量仿真以及异常流量仿真等功能。

请参见图10，基于同一发明构思，本申请实施例还提供了一种工控协议数据流处理装置100，该装置包括：

获取单元1001，用于获取工控协议行为请求；其中，工控协议行为请求用于指示向目标工控网安设备发送目标工控协议行为对应的模拟数据流；

流生成单元1002，用于基于工控协议行为以及预构建的至少一个工控协议模板库，生成工控协议行为对应的工控协议请求数据流；其中，工控协议模板库包括至少一种工控协议对应的工控协议行为的工控协议模板；

收发单元1003，用于调用数据转发组件，将工控协议请求数据流发送给目标工控网安设备。

可选的，该装置还包括流解码单元1004；

收发单元1003，还用于通过数据转发组件，接收目标工控网安设备输出的工控协议请求数据流；

流解码单元1004，用于对工控协议请求数据流进行解码处理，获得解码结果；

流生成单元1002，还用于若解码结果指示的目标工控协议行为是工控协议模板库中已记录的目标工控协议行为，则获取目标工控协议行为对应的执行结果，基于执行结果生成第一工控协议响应数据流；

收发单元1003，还用于调用数据转发组件，将第一工控协议响应数据流发送给目标工控网安设备。

可选的，

流生成单元1002，还用于若解码得到的行为码标识指示非工控协议行为，则生成指示断开连接的第二工控协议响应数据流；

收发单元1003，还用于调用数据转发组件，将第二工控协议响应数据流发送给目标工控网安设备。

可选的，目标工控协议行为请求携带了目标工控协议行为的行为码索引、行为参数值以及数据传输协议参数值；则流生成单元1002，具体用于：

从至少一个工控协议模板库中，获取目标工控协议行为对应的目标工控协议模板；

调用协议配置层，基于行为码索引以及行为参数值，对目标工控协议模板进行字段填充，获得工控协议数据流；

调用数据传输协议相关层，基于数据传输协议参数值，填充工控协议数据流的数据传输协议字段，以获得工控协议请求数据流。

可选的，流生成单元1002，具体用于：

确定目标工控协议对应的工控协议模板库中，是否存在行为码索引对应的目标行为码标识；

若存在，则从工控协议模板库中获取目标行为码标识；

以目标行为码标识填充目标工控协议中的相应协议字段，并将行为参数值填充至目标工控协议中的相应协议字段，获得工控协议数据流。

可选的，数据传输协议参数值包括目标网络协议IP地址和目标物理MAC地址，则可选的，流生成单元1002，具体用于：

调用传输层，基于目标工控协议对应的端口地址填充端口字段，获得填充了端口字段的工控协议数据流；

调用网络层，基于目标IP地址，填充IP地址字段，获得填充了IP地址字段的工控协议数据流；

调用物理层，基于目标MAC地址，填充MAC地址字段，以获得工控协议请求数据流。

可选的，该装置还包括配置单元1005，用于：

向目标工控网安设备发送配置指令，配置指令用于将目标工控网安设备的接口模式配置为混杂模式，在混杂模式下，目标工控网安设备的至少一个接收端口能够接收目的地址为非自身地址的数据流；

则收发单元1003，具体用于：

调用DPDK组件，将工控协议请求数据流发送给至少一个接收端口。

通过上述装置，可以通过预先构建工控协议模板库，该工控协议模板库包括至少一种工控协议对应的工控协议行为的工控协议模板，这样，在进行工控流量模拟时，则可以基于当前请求的目标工控协议行为结合工控协议模板库，动态的模拟实际环境的工控协议数据流，更好的进行工控网安设备的功能测试。相较于静态回放流量的方式，本申请实施例提供的方式能够更灵活的生成所需求的工控协议数据流，并且，还可以更方便的模拟异常的工控协议数据流，提升测试效率。

该装置可以用于执行本申请各实施例中所示的方法，因此，对于该装置的各功能模块所能够实现的功能等可参考前述实施例的描述，不多赘述。

请参见图11，基于同一技术构思，本申请实施例还提供了一种计算机设备110，该计算机设备110可以包括存储器1101和处理器1102。例如，计算机设备110例如可以为上述的工控流量模拟设备101。

所述存储器1101，用于存储处理器1102执行的计算机程序。存储器1101可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序等；存储数据区可存储根据计算机设备的使用所创建的数据等。处理器1102，可以是一个中央处理单元(central processing unit，CPU)，或者为数字处理单元等等。本申请实施例中不限定上述存储器1101和处理器1102之间的具体连接介质。本申请实施例在图11中以存储器1101和处理器1102之间通过总线1103连接，总线1103在图11中以粗线表示，其它部件之间的连接方式，仅是进行示意性说明，并不引以为限。所述总线1103可以分为地址总线、数据总线、控制总线等。为便于表示，图11中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

存储器1101可以是易失性存储器(volatile memory)，例如随机存取存储器(random-access memory，RAM)；存储器1101也可以是非易失性存储器(non-volatilememory)，例如只读存储器，快闪存储器(flash memory)，硬盘(hard disk drive，HDD)或固态硬盘(solid-state drive，SSD)、或者存储器1101是能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。存储器1101可以是上述存储器的组合。

处理器1102，用于调用所述存储器1101中存储的计算机程序时执行本申请各实施例中设备所执行的方法。

在一些可能的实施方式中，本申请提供的方法的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当所述程序产品在计算机设备上运行时，所述程序代码用于使所述计算机设备执行本说明书上述描述的根据本申请各种示例性实施方式的方法中的步骤，例如，所述计算机设备可以执行本申请各实施例中设备所执行的方法。

所述程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以是但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

尽管已描述了本申请的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本申请范围的所有变更和修改。

显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的精神和范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。

Claims (10)

1.一种工控协议数据流处理方法，其特征在于，所述方法包括：

获取工控协议行为请求；其中，所述工控协议行为请求用于指示向目标工控网安设备发送目标工控协议行为对应的模拟数据流；

基于所述工控协议行为以及预构建的至少一个工控协议模板库，生成所述工控协议行为对应的工控协议请求数据流；其中，所述工控协议模板库包括至少一种工控协议对应的工控协议行为的工控协议模板；

调用数据转发组件，将所述工控协议请求数据流发送给目标工控网安设备。

2.如权利要求1所述的方法，其特征在于，在调用数据转发组件，将所述工控协议请求数据流发送给目标工控网安设备之后，所述方法还包括：

通过所述数据转发组件，接收所述目标工控网安设备输出的工控协议请求数据流；

对所述工控协议请求数据流进行解码处理，获得解码结果；

若所述解码结果指示的目标工控协议行为是所述工控协议模板库中已记录的目标工控协议行为，则获取所述目标工控协议行为对应的执行结果，基于执行结果生成第一工控协议响应数据流；

调用数据转发组件，将所述第一工控协议响应数据流发送给所述目标工控网安设备。

3.如权利要求2所述的方法，其特征在于，在对所述工控协议请求数据流进行解码处理，并基于解码结果之后，所述方法还包括：

若解码得到的行为码标识指示非工控协议行为，则生成指示断开连接的第二工控协议响应数据流；

调用数据转发组件，将所述第二工控协议响应数据流发送给所述目标工控网安设备。

4.如权利要求1所述的方法，其特征在于，所述目标工控协议行为请求携带了所述目标工控协议行为的行为码索引、行为参数值以及数据传输协议参数值；则基于所述目标工控协议行为以及预构建的至少一个工控协议模板库，生成所述目标工控协议行为对应的工控协议请求数据流，包括：

从所述至少一个工控协议模板库中，获取所述目标工控协议行为对应的目标工控协议模板；

调用协议配置层，基于所述行为码索引以及行为参数值，对所述目标工控协议模板进行字段填充，获得工控协议数据流；

调用数据传输协议相关层，基于所述数据传输协议参数值，填充所述工控协议数据流的数据传输协议字段，以获得所述工控协议请求数据流。

5.如权利要求4所述的方法，其特征在于，调用所述目标工控协议对应的协议配置层，基于所述功能码索引以及行为参数值，获得工控协议数据流，包括：

确定所述目标工控协议对应的工控协议模板库中，是否存在所述行为码索引对应的目标行为码标识；

若存在，则从所述工控协议模板库中获取所述目标行为码标识；

以所述目标行为码标识填充所述目标工控协议中的相应协议字段，并将所述行为参数值填充至所述目标工控协议中的相应协议字段，获得所述工控协议数据流。

6.如权利要求4所述的方法，其特征在于，所述数据传输协议参数值包括目标网络协议IP地址和目标物理MAC地址，则所述调用数据传输协议相关层，基于所述数据传输协议参数值，填充所述工控协议数据流的数据传输协议字段，获得所述工控协议请求数据流，包括：

调用传输层，基于所述目标工控协议对应的端口地址填充端口字段，获得填充了端口字段的工控协议数据流；

调用网络层，基于所述目标IP地址，填充IP地址字段，获得填充了IP地址字段的工控协议数据流；

调用物理层，基于所述目标MAC地址，填充MAC地址字段，以获得所述工控协议请求数据流。

7.如权利要求1～6任一所述的方法，其特征在于，在向所述工控网安设备发送所述工控协议请求数据流之前，所述方法还包括：

向所述目标工控网安设备发送配置指令，所述配置指令用于将所述目标工控网安设备的接口模式配置为混杂模式，在所述混杂模式下，所述目标工控网安设备的至少一个接收端口能够接收目的地址为非自身地址的数据流；

则调用数据转发组件，将所述工控协议请求数据流发送给目标工控网安设备，包括：

调用数据平面开发DPDK组件，将所述工控协议请求数据流发送给所述至少一个接收端口。

8.一种工控协议数据流处理装置，其特征在于，所述装置包括：

获取单元，用于获取工控协议行为请求；其中，所述工控协议行为请求用于指示向目标工控网安设备发送目标工控协议行为对应的模拟数据流；

流生成单元，用于基于所述工控协议行为以及预构建的至少一个工控协议模板库，生成所述工控协议行为对应的工控协议请求数据流；其中，所述工控协议模板库包括至少一种工控协议对应的工控协议行为的工控协议模板；

收发单元，用于调用数据转发组件，将所述工控协议请求数据流发送给目标工控网安设备。

9.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，

所述处理器执行所述计算机程序时实现权利要求1至7任一项所述方法的步骤。

10.一种计算机存储介质，其上存储有计算机程序指令，其特征在于，

该计算机程序指令被处理器执行时实现权利要求1至7任一项所述方法的步骤。

Images